Spring безопасность 6 - авторизация не работает

Я использую Spring Boot 3 и Spring Security 6 и пытаюсь настроить авторизацию, но не могу заставить ее работать. Я наблюдаю какое-то странное поведение, которое я не могу понять.

Я настроил авторизацию, используя следующий код

http.authorizeHttpRequests(authrorize -> authrorize.requestMatchers("/hello/**").hasRole("USER"));

но после входа в систему получаю ошибку 403 Forbidden.

Я проверил журналы безопасности Spring и вижу в них следующее:

2024-06-15T06:55:20.123+05:30 DEBUG 15236 --- [spring-authn-authz] [nio-8080-exec-4] wc.HttpSessionSecurityContextRepository: получено SecurityContextImpl [Authentication=UsernamePasswordAuthenticationToken [Принципал =com.nagpal. Spring_authn_authz.config.EmployeeUserDetails@2af776cf, Credentials=[PROTECTED], Authenticated=true, Details=WebAuthenticationDetails [RemoteIpAddress=0:0:0:0:0:0:0:1, SessionId=846F84FABBD0F9B98EFEF4DAAE047AA4], предоставленные полномочия= [ПОЛЬЗОВАТЕЛЬ ]]]

Предоставленные полномочия USER присутствуют, но я все еще получаю ошибку 403.

После некоторого поиска я обнаружил, что к моим полномочиям необходимо добавить «ROLE_», поэтому я попытался добавить префикс «ROLE_» к роли из моего объекта UserDetails:

 @Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    List<GrantedAuthority> authorities = new ArrayList<>();
    log.info("Adding role with ROLE_ appended");
    GrantedAuthority role = new SimpleGrantedAuthority("ROLE_" + employee.getRole());
    authorities.add(role);    
    return authorities;
}

после этого изменения, когда я пытаюсь получить доступ к конечной точке, я все еще получаю ошибку 403 Forbidden, но в журналах я вижу, что префикс ROLE_ добавляется дважды:

2024-06-15T06:59:28.747+05:30 DEBUG 15236 --- [spring-authn-authz] [nio-8080-exec-4] wc.HttpSessionSecurityContextRepository: получено SecurityContextImpl [Authentication=UsernamePasswordAuthenticationToken [Принципал] =com.nagpal. Spring_authn_authz.config.EmployeeUserDetails@2af776cf, Credentials=[PROTECTED], Authenticated=true, Details=WebAuthenticationDetails [RemoteIpAddress=0:0:0:0:0:0:0:1, SessionId=846F84FABBD0F9B98EFEF4DAAE047AA4], Предоставленные полномочия= [ROLE_ROLE_USER ]]]

Вот код для сотрудникаUserDetails

public class EmployeeUserDetails implements UserDetails {

private Employee employee;

public EmployeeUserDetails(Employee employee) {
    this.employee = employee;
}

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    List<GrantedAuthority> authorities = new ArrayList<>();
    // log.info("Adding role with ROLE_ appended");
    GrantedAuthority role = new SimpleGrantedAuthority(/*"ROLE_" + */ employee.getRole());
    authorities.add(role);    
    return authorities;
}

@Override
public String getPassword() {
    return employee.getPassword();
}

@Override
public String getUsername() {
   return employee.getEmail();
}

и для сотрудника

@Entity
@Data
public class Employee {

@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
@Column(name = "employee_id")
private int id;
@Column
private String email;
@Column
private String password;
@Column
private String role;
}

Создание пользователей:

public void customUsers(UserDetailsManager detailsManager) { 

    Employee employee1 = new Employee();
    employee1.setEmail("[email protected]");
    employee1.setPassword(passwordEncoder().encode("password"));
    employee1.setRole("USER");

    EmployeeUserDetails user1 = new EmployeeUserDetails(employee1);

    detailsManager.createUser(user1);

}

Таблица сотрудников после запуска:

Я не могу понять такое поведение. Если я не добавляю «ROLE_» в свои объекты UserDetails, он вообще не появится, но если я его настрою, он появится дважды.

Может ли кто-нибудь помочь мне понять это?